脆弱性修正

* Tomcat が HTTP/0.9 リクエストの GET メソッドに対する制限を行っていませんでした。セキュリティ制限がURIに対しての HEAD リクエストを許可していて GET リクエストを拒否している場合、ユーザは HTTP/0.9 による不正な HEAD リクエストを送信することにより、GET リクエストに対する制限を迂回することができる可能性がありました。(CVE-2026-24733)

* Tomcat は、SNI 拡張機能で提供されたホスト名が HTTP の Host ヘッダーフィールドで提供されたホスト名と同一であることを検証していませんでした。Tomcat が複数のバーチャルホストで構成されており、そのうちの1つのホストの TLS 設定ではクライアント証明書認証が不要で、別のホストでは必要である場合、クライアントは SNI 拡張と HTTP の Host ヘッダーフィールドに異なるホスト名を送信することで、クライアント証明書認証を回避できる可能性がありました。この脆弱性は、クライアント証明書認証が Connector でのみ強制されている場合に限り適用されます。クライアント証明書認証が Web アプリケーション側で強制されている場合には適用されません。(CVE-2025-66614)

不具合修正(Catalina)

* Rewrite Valve の設定が不足している場合のログレベルが INFO に引き上げられました。(69871)

* Host の appBase に不審な値が指定されている場合について、追加の警告ログが出力されるようになりました。

* catalina.jar が tomcat-jni.jar にハード依存しないように変更されました。org.apache.catalina.Connector は org.apache.tomcat.jni.AprStatus の存在を必要としなくなりました。

* SPNEGO 認証における SSO 再認証の挙動が変更されました。SSL Valve に再認証が有効に設定されている場合、通常の SPNEGO 認証が実行されるようになりました。これにより、委譲された資格情報が Web アプリケーションから利用可能になりました。

不具合修正(Coyote)

* KeyStore インスタンスが Connector に直接設定されている場合、TLS Connector 作成時に誤った証明書 KeyStore の場所がログに出力されないようになりました。

* HTTP/0.9 では HTTP メソッドとして GET のみが許可されるようになりました。

不具合修正(Jasper)

* クラスパス作成時に URI を処理する際、無効な URI に対応するため IllegalArgumentException が捕捉されるようになりました。(69877)

* Web アプリケーションのクラスローダーのリポジトリを用いたクラスパスの設定処理が修正されました。

不具合修正(Clustering)

* 10.1.45 で導入された、一部のクラスタリング設定が動作しなくなる不具合が修正されました。

不具合修正(Web Applications)

* Manager: 1 つ以上の Web アプリケーションが起動に失敗した場合に、HTML および JSON の完全なサーバーステータス出力が途中で切れてしまう問題が修正されました。

不具合修正(jdbc-pool)

* 基盤となるコネクションがすでにクローズされている場合、返却時にプールへ追加されないようになりました。(64083)

機能追加・改良(General)

* テスト実行中の JUnit のコンソール出力を抑制するための test.silent プロパティが追加されました。複数のスレッドでテストを実行する際に、コンソール出力を整理するのに役立ちます。

機能追加・改良(Catalina)

* CrawlerSessionManagerValve において、クライアント識別子を生成するためのカスタム関数を使用できるようになりました。本機能はプログラムからのみ利用可能です。

機能追加・改良(Coyote)

* Connector に strictSNI 属性が追加されました。これにより、SNI ホスト名に基づいて関連付けられた SSLHostConfig 設定と、HTTP プロトコルのホスト名から一致した SSLHostConfig 設定の整合性が検証されるようになりました。一致しない場合、リクエストは拒否されるようになりました。デフォルト値は true で、検証が有効になっています。

機能追加・改良(Web Applications)

* Manager: HTML および JSON の完全なサーバーステータス出力に、Web アプリケーションの状態が含まれるようになりました。

* Documentation: OCSP がサポートされる場合とされない場合について、より分かりやすく説明するためにドキュメントが拡充されました。

機能追加・改良(Other)

* 選択的にテストを実行するためのテストプロファイル機構が追加されました。-Dtest.profile= を指定することで、パターンを直接指定せずに特定のテストサブセットを実行できるようになりました。プロファイルパターンは test-profiles.properties で定義されます。

* ファイル拡張子とメディアタイプのマッピングが、Apache Web Server（httpd）で使用されている最新の一覧に合わせて更新されました。

* Tomcat Migration Tool for Jakarta EE の同梱バージョンが 1.0.10 に更新されました。

* Commons Daemon が 1.5.0 に更新されました。

* Byte Buddy が 1.18.2 に更新されました。

* Checkstyle が 12.2.0 に更新されました。

* スペイン語翻訳が改善されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.50_(schultz)

不具合修正(Catalina)

* Loader におけるクラスパス生成時、個々のクラスパスコンポーネントのチェック順が見直され、NullPointerException が発生する可能性が回避されました。

* JNDI Realm における SSL ソケットファクトリ設定が修正されました。

不具合修正(Coyote)

* FFM コードにおいて、BoringSSL での OCSP 処理が正常に失敗するよう改善されました。

* deferAccept 属性の JMX における使用が修正されました。これは通常、Tomcat 11 でのみ削除されるためです。

* OpenSSL プロバイダ使用時にトラストストアで発生していたメモリリークが修正されました。(69866)

* Tomcat Native ライブラリに依存する Connector が存在する場合、シャットダウン時にクラッシュする可能性が修正されました。

* AJP メッセージ長チェックが修正されました。

不具合修正(Jasper)

* Servlet 例外のラッピング解除時に NPE が発生し、例外情報の一部が隠れてしまう問題が修正されました。(69862)

機能追加・改良(Catalina)

* MessageDigestCredentialHandler に digestInRfc3112Order 属性が追加され、クレデンシャルとソルトをどの順序でダイジェストするかが制御可能になりました。デフォルトでは、現在の RFC 3112 非準拠の「ソルト → クレデンシャル」の順序が使用されます。このデフォルトは Tomcat 12 では RFC 3112 準拠の「クレデンシャル → ソルト」に変更される予定です。

機能追加・改良(Other)

* 内部フォークの Apache Commons BCEL が 6.11.0 に更新されました。

* Byte Buddy が 1.17.8 に更新されました。

* Checkstyle が 12.1.1 に更新されました。

* Jacoco が 0.8.14 に更新されました。

* SpotBugs が 4.9.8 に更新されました。

* JSign が 7.4 に更新されました。

* Maven Resolver Ant Tasks が 1.6.0 に更新されました。

* フランス語翻訳が改善されました。

* 日本語翻訳の改善が取り込まれました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.49_(schultz)